Argus: Reorchestrating Static Analysis via a Multi-Agent Ensemble for Full-Chain Security Vulnerability Detection
यह शोध पत्र Argus को प्रस्तुत करता है, जो एक नवीन मल्टी-एजेंट फ्रेमवर्क है जो आपूर्ति श्रृंखला विश्लेषण (सप्लाई चेन एनालिसिस), सहयोगी एजेंटों और RAG एवं ReAct जैसी उन्नत तकनीकों को एकीकृत करके स्टेटिक एनालिसिस वर्कफ़्लो को पुनर्गठित करता है ताकि वास्तविक कमजोरियों का पता लगाने में मौजूदा LLM-आधारित तरीकों से काफी बेहतर प्रदर्शन करते हुए फॉल्स पॉजिटिव्स और परिचालन लागत को कम किया जा सके।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि आप एक विशाल, हलचल भरे शहर (आपका सॉफ़्टवेयर कोड) के सुरक्षा प्रमुख हैं। आपका काम छिपे हुए जाल, टूटे हुए पुल और खुली खिड़कियों को खोजना है जिनका उपयोग अपराधी घुसपैठ करने के लिए कर सकते हैं।
वर्षों से, आपने दो प्रकार के गार्डों पर भरोसा किया है:
- नियम पुस्तिका वाले गार्ड (पारंपरिक उपकरण): वे एक विशाल चेकलिस्ट लेकर चलते हैं। यदि कोई खिड़की खुली है, तो वे उसे चिह्नित करते हैं। यदि कोई दरवाज़ा खुला है, तो वे उसे चिह्नित करते हैं। वे तेज़ और सख्त हैं, लेकिन वे उन चतुर जालों को मिस कर देते हैं जो मानक खुली खिड़कियों जैसे नहीं दिखते। वे जटिल शहर के लेआउट से भ्रमित भी हो जाते हैं।
- नए एआई इंटर्न (LLMs): वे अविश्वसनीय रूप से बुद्धिमान, रचनात्मक हैं और पूरे शहर को एक साथ पढ़ सकते हैं। वे उस जाल को भी पकड़ सकते हैं जो एक हानिरहित फूलों के गमले जैसा दिखता है। लेकिन, उनकी एक बुरी आदत है: वे कभी-कभी "भ्रम" (hallucinate) का शिकार हो जाते हैं, वहां भी जाल देखते हैं जहां कोई नहीं होता, या वे शहर के विशाल आकार से घबराकर हार मान लेते हैं।
समस्या:
वर्तमान सुरक्षा प्रणालियाँ यह कोशिश करती हैं कि एआई इंटर्न नियमों की किताब वाले गार्डों के साथ काम करें। इसका परिणाम यह होता है कि एआई कठोर नियमों से भ्रमित हो जाता है, और नियम एआई के अनियंत्रित विचारों के साथ तालमेल नहीं बिठा पाते। यह एक प्रतिभाशाली कवि को टैक्स फॉर्म भरने के लिए सिखाने जैसा है; न तो दोनों ही इसमें सफल होते हैं।
समाधान: Argus
यह शोध पत्र Argus को पेश करता है, जो एक नया सुरक्षा तंत्र है जो इस खेल को उलट देता है। यहाँ एआई केवल एक सहायक नहीं है, बल्कि एआई शहर का मेयर बन जाता है, और बाकी सब कुछ (नियम, कोड, इतिहास) उसका स्टाफ बन जाता है।
Argus इस प्रकार काम करता है, एक रचनात्मक उपमा का उपयोग करते हुए:
1. "पूर्ण आपूर्ति श्रृंखला" का निरीक्षण (नेबरहुड वॉच)
पारंपरिक गार्ड केवल उस इमारत को देखते हैं जिसका आप निरीक्षण कर रहे हैं। वे उन सामग्रियों की अनदेखी करते हैं जिनसे वह बनाई गई है।
- Argus का दृष्टिकोण: Argus जानता है कि यदि ईंटें (आपके सॉफ़्टवेयर डिपेंडेंसीज़) चोरी हुई थीं या दोषपूर्ण थीं, तो पूरी इमारत असुरक्षित है। यह केवल आपके कोड को स्कैन नहीं करता; यह "सप्लाई चेन" (उन लाइब्रेरी और टूल्स की जांच करता है जिन्हें आपने उधार लिया है) की जांच करता है। यह पूछता है, "क्या ईंट निर्माता ने कोई रिकॉल नोटिस जारी किया था?" यदि हाँ, तो Argus जानता है कि आपकी दीवार में दरारें कहाँ ढूँढनी हैं।
2. मल्टी-एजेंट टास्क फोर्स (विशेषज्ञ दस्ता)
एक ही एआई द्वारा सब कुछ करने के बजाय, Argus काम को विशेषज्ञ एजेंटों की एक टीम में विभाजित करता है, जैसे कि एक SWAT टीम:
- लाइब्रेरियन (RAG एजेंट): टीम के कार्य करने से पहले, यह एजेंट लाइब्रेरी (इंटरनेट और भेद्यता डेटाबेस) की ओर दौड़ता है ताकि नवीनतम "वांटेड" पोस्टर और अपराध रिपोर्ट प्राप्त की जा सकें। यह सुनिश्चित करता है कि टीम को ज्ञात अपराधियों (CVEs) के बारे में काम शुरू करने से पहले ही पता हो।
- डिटेक्टिव (PoC एजेंट): यह एजेंट केवल अनुमान नहीं लगाता; यह सिद्ध करने की कोशिश करता है कि जाल मौजूद है। यह एक छोटा, सुरक्षित "मॉक क्राइम" (Proof of Concept) बनाता है ताकि यह देखा जा सके कि क्या वह जाल वास्तव में काम करता है। यदि यह ताले को नहीं तोड़ पाता, तो वह वास्तविक भेद्यता (vulnerability) नहीं है।
- मैप रीडर (डेटा फ्लो एजेंट): यह एजेंट एक "दूषित" वेरिएबल (जैसे ज़हरीली पानी की बोतल) के मार्ग का पता लगाता है—स्रोत (यूज़र द्वारा फॉर्म में टाइप किया गया डेटा) से लेकर सिंक (एक खतरनाक कमांड) तक। यह पाइपों के माध्यम से पानी का पीछा करता है और फिल्टर की जांच करता है।
3. "Re3" रणनीति (रिट्रीवल, रिकर्सन, रिव्यू)
यह उन सबसे कठिन मामलों को हल करने के लिए Argus का गुप्त हथियार है जहाँ रास्ता टूटा हुआ या छिपा हुआ होता है।
- रिट्रीवल (Retrieval): टीम रास्ता खोजने के लिए मानचित्र (CodeQL) प्राप्त करती है।
- रिकर्सन (Recursion): यदि मानचित्र में कोई अंतर (टूटा हुआ पुल) है, तो टीम हार नहीं मानती। वे गंतव्य से पीछे की ओर काम करते हैं ताकि यह पता लगाया जा सके कि रास्ता कहाँ से शुरू होना चाहिए था, और फिर बिंदुओं को जोड़ते हैं। यह नदी के बहाव के विपरीत ऊपर जाकर प्रदूषण के स्रोत को खोजने जैसा है।
- रिव्यू (Review): अंत में, एक वरिष्ठ विशेषज्ञ (एक अन्य एआई एजेंट) पूरे सफर की दोबारा जांच करता है। "रुको, क्या उस फिल्टर ने वास्तव में पानी को साफ किया? क्या गार्ड ने चोर को पकड़ा?" यह चरण एआई को मनगढ़ंत बातें बनाने (hallucinations) से रोकता है।
परिणाम
जब शोधकर्ताओं ने वास्तविक दुनिया के सॉफ़्टवेयर (जैसे बड़े ओपन-सोर्स प्रोजेक्ट्स) पर Argus का परीक्षण किया:
- इसने अधिक वास्तविक जाल खोजे: जहाँ पुराने उपकरणों ने कई मामलों में शून्य नई समस्याएँ पाईं, वहीं Argus ने दर्जनों खोज निकालीं।
- इसने "जीरो-डे" (Zero-Day) जाल खोजे: ये बिल्कुल नए, पहले कभी न देखे गए भेद्यता वाले जाल हैं। Argus ने कुछ ऐसे जाल भी खोजे जो इतने खतरनाक थे कि उन्हें आधिकारिक "CVE" नंबर (जैसे किसी अपराधी का आईडी कार्ड) दिए गए।
- इसने पैसे बचाए: इसने अन्य एआई विधियों की तुलना में कम "टोकन" (कंप्यूटेशनल ऊर्जा) का उपयोग किया क्योंकि यह अंधे होकर अनुमान लगाने के बजाय इस बारे में स्मार्ट था कि किसे देखना है।
निचोड़
Argus टॉर्च लेकर चलने वाले सुरक्षा गार्ड से एक हाई-टेक सुरक्षा कमांड सेंटर में अपग्रेड होने जैसा है। यह एआई की रचनात्मकता को मानवीय जांच की विश्वसनीयता के साथ जोड़ता है, पूरी आपूर्ति श्रृंखला की जांच करता है, और यह सुनिश्चित करने के लिए विशेषज्ञों की एक टीम का उपयोग करता है कि कोई भी जाल अनसुना न रह जाए। यह केवल पुराने गार्डों को बदलता नहीं है; यह सुरक्षा बल को अधिक स्मार्ट, तेज़ और अधिक गहन बनाने के लिए उसे पुनर्गठित करता है।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।